LA SÉCURITÉ DES DONNÉES PERSONNELLES .Fiche n° 4 –La sécurité des postes de travail page

download LA SÉCURITÉ DES DONNÉES PERSONNELLES .Fiche n° 4 –La sécurité des postes de travail page

of 48

  • date post

    16-Sep-2018
  • Category

    Documents

  • view

    212
  • download

    0

Embed Size (px)

Transcript of LA SÉCURITÉ DES DONNÉES PERSONNELLES .Fiche n° 4 –La sécurité des postes de travail page

  • d i t i o n 2 0 1 08 rue Vivienne - CS 3022375083 Paris cedex 02Tl : 01 53 73 22 22Fax : 01 53 73 22 00

    LA SCURIT DES DONNES PERSONNELLES

  • Ce guide est tlchargeable sur le site Internet de la CNIL : www.cnil.fr

    SommaireAvant-propos page 1

    Introduction page 3

    Termes & dfinitions page 5

    Fiche n 1 - Quels risques ? page 6

    Fiche n 2 Lauthentification des utilisateurs page 9

    Fiche n 3 La gestion des habilitations & la sensibilisation des utilisateurs page 11

    Fiche n 4 La scurit des postes de travail page 15

    Fiche n 5 - Comment scuriser linformatique mobile ? page 17

    Fiche n 6 - Les sauvegardes et la continuit dactivit page 18

    Fiche n 7 - La maintenance page 20

    Fiche n 8 La tracabilit et la gestion des incidents page 22

    Fiche n 9 La scurit des locaux page 24

    Fiche n 10 La scurit du rseau informatique interne page 25

    Fiche n 11 La scurit des serveurs et des applications page 28

    Fiche n 12 - La sous-traitance page 30

    Fiche n 13 - Larchivage page 32

    Fiche n 14 - Lchange dinformations avec dautres organismes page 34

    Fiche n 15 - Les dveloppements informatiques page 37

    Fiche n 16 Lanonymisation page 38

    Fiche n 17 Le chiffrement page 40

    Acronymes page 43

    Annexes page 44

  • AV

    AN

    T-

    PR

    OP

    OSLa place grandissante de linformatique dans toutes les sphres de notre

    socit entrane la production, le traitement et la dissmination dun nombre croissant de donnes personnelles.

    Les menaces pesant sur les systmes et rseaux dinformation incluent la fraude informatique, le dtournement de finalit, la captation frauduleuse, la perte de donnes, le vandalisme, ou encore les sinistres les plus frquents, tels que lincendie ou linondation.

    La loi informatique et liberts impose que les organismes mettant en uvre des traitements ou disposant de fichiers de donnes en garantissent la scurit. Par scurit des donnes, on entend lensemble des prcautions utiles, au regard de la nature des donnes et des risques prsents par le traitement, pour notamment, empcher que les donnes soient dformes, endommages, ou que des tiers non autoriss y aient accs. (Art.34 loi IL). Cette scurit se conoit pour lensemble des processus relatifs ces donnes, quil sagisse de leur cration, leur utilisation, leur sauvegarde, leur archivage ou leur destruction et concerne leur confidentialit, leur intgrit, leur authenticit et leur disponibilit.

    Ce guide sadresse tout responsable de traitement ainsi qu toute personne disposant dun minimum de connaissances informatiques (administrateur systme, dveloppeur, responsable de la scurit des systmes dinformation, utilisateur) et souhaitant valuer le niveau de scurit dont doit bnficier tout traitement de donnes caractre personnel.

    Il prsente un ensemble de prconisations essentielles regroupes par fiches thmatiques concernant la scurit de donnes caractre personnel.

    Chaque fiche est structure en trois sections :

    - les prcautions lmentaires ;

    - ce quil ne faut pas faire ;

    - pour aller plus loin.

    La section Pour aller plus loin recommande des mesures additionnelles aux prcautions lmentaires.

    Parmi lensemble des prconisations, certaines sont issues de bonnes pratiques en matire de gestion de la scurit des systmes dinformations, tandis que dautres rsultent des rgles relatives la protection de donnes caractre personnel du fait de la spcificit de ces informations.

    1

    Avant-propos

  • Ce premier guide scurit est videmment perfectible. Aussi, le lecteur ne devra-t-il pas hsiter nous contacter pour nous transmettre ses propositions en la matire.

    Bien entendu, aux yeux des experts et des profanes, ce guide ne rpondra pas compltement leurs attentes, jugeant quil ne va pas assez ou trop loin. Jespre nanmoins quil satisfera au plus grand nombre, et je peux dores et dj annoncer quun document plus labor est en cours de prparation.

    Alex TRK

    Prsident de la CNIL

    La Commission Nationale de lInformatique et des Liberts

    La CNIL, autorit administrative indpendante, est charge de veiller au respect des dispositions de la loi. A ce titre, elle assure des missions dinformation, de conseil, dexpertise et de veille technologique.

    La CNIL dispose de pouvoirs particuliers pour faire respecter la loi : elle contrle la mise en uvre des fichiers informatiques et peut galement procder des vrifications sur place.

    Lensemble de ces informations est galement disponible sur le site Internet de la CNIL :

    http://www.cnil.fr/dossiers/securite

    2

    AV

    AN

    T-

    PR

    OP

    OS

    GU IDE PRAT IQUE SCURIT

  • IN

    TR

    OD

    UC

    TI

    ONScuriser un systme informatique ncessite de prendre en compte tous les

    aspects de sa gestion. Cette scurit passe par le respect de bonnes pratiques et le maintien de loutil informatique ltat de lart quant aux attaques dont il peut faire lobjet. Toutefois, cette scurit ne sera effective qu condition de faire preuve de rigueur notamment dans la dlivrance (et le retrait) des habilitations ainsi que dans le traitement des invitables incidents.

    Afin de garantir que chaque utilisateur du systme informatique naccde quaux donnes quil a besoin de connatre, deux lments sont ncessaires :

    - la remise dun identifiant unique chaque utilisateur associ un moyen de sauthentifier : une mthode dauthentification ;

    - un contrle a priori de laccs aux donnes pour chaque catgorie dutilisateurs : une gestion des habilitations.

    La protection de donnes concernant des personnes impose en plus que celles-ci soient :

    -collectesettraitesdemanireloyaleetlicite(Art.6al.1loiI&L)

    -collectespourdesfinalitsdtermines,expliciteset lgitimesetnesoient pas traites ultrieurement de manire incompatible avec cesfinalits(Art.6al.2loiI&L).

    Ces obligations ne peuvent sapprcier qu travers lusage qui est fait du systme informatique. Par consquent, il est ncessaire de procder une journalisation, cest--dire lenregistrement des actions de chaque utilisateur sur le systme pendant une dure dfinie.

    En outre, la loi Informatique et Liberts dispose que les donnes soient exactes,compltesetsincessairesmisesjour. (Art. 6 al.4 loi I&L). Ces obligations ncessitent que les systmes dinformation prvoient des mcanismes garantissant lintgrit des donnes.

    La loi dispose galement que ces donnes soient conservessousuneformepermettant lidentification des personnes concernes pendant une durequi nexcdepas ladurencessaire aux finalitspour lesquelles elles sontcollectesettraites (Art. 6 al.5 loi I&L). Les systmes doivent donc prvoir la suppression, larchivage, ou encore lanonymisation de ces donnes, lorsque leur dure de conservation est atteinte.

    Enfin, grer les risques constitue un moyen efficace de protger les libertsetdroitsfondamentauxdespersonnesphysiques,notammentleurvieprive,lgarddutraitementdesdonnescaractrepersonnel (article premier de la Directive 95/46/CE).

    3

    Introduction

    AV

    AN

    T-

    PR

    OP

    OS

  • Pour rappel, la CNIL peut procder des vrifications sur place. En outre, la formation restreinte peut prononcer diverses sanctions gradues : avertissement, mise en demeure, sanctions pcuniaires, injonction de cesser le traitement. Le montant des sanctions pcuniaires peut atteindre 150 000 euros lors du premier manquement constat puis 300 000 euros, ou 5% du chiffre daffaire hors taxes du dernier exercice, dans la limite de 300 000 euros , sil sagit dune entreprise.

    Le montant de ces sanctions est proportionn la gravit des manquements commis et aux avantages tirs de ce manquement.

    La CNIL peut galement dnoncer pnalement les infractions la loi dont elle a connaissance au Procureur de la Rpublique.

    4GUIDE PRAT IQUE SCURIT

    IN

    TR

    OD

    UC

    TI

    ON

  • TE

    RM

    ES

    &

    D

    EF

    IN

    IT

    IO

    NSAuthentification : lauthentification a pour but de vrifier lidentit dont

    une entit se rclame. Gnralement lauthentification est prcde dune identification qui permet cette entit de se faire reconnatre du systme par un lment dont on la dot. En rsum, sidentifier cest communiquer son identit, sauthentifier cest apporter la preuve de son identit. (ANSSI Agence Nationale de la Scurit des Sustmes dInformation).

    Destinataire des donnes : toute personne habilite recevoir communication de ces donnes autre que la personne concerne, le responsable du traitement, le sous-traitant et les personnes qui, en raison de leurs fonctions, sont charges de traiter les donnes (Art. 3 loi I&L).

    Donne caractre personnel : toute information relative une personne physique identifie ou qui peut tre identifie, directement ou indirectement, par rfrence un numro didentification ou un ou plusieurs lments qui lui sont propres. Pour dterminer si une personne est identifiable, il convient de considrer lensemble des moyens en vue de permettre son identification dont dispose ou auxquels peut avoir accs le responsable du traitement ou toute autre personne (Art. 2 loi I&L).

    Donnes sensibles : les donnes caractre personnel qui font apparatre, directement ou indirectement, les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou lappartenance syndicale des personnes, ou qui sont relatives la sant ou la vie sexuelle de celles-ci (Art. 8 loi I&L).

    Responsable de traitement : la personne, lautorit publique, le service ou lorganisme qui dtermine les finalits et les moyens dudit traitement, sauf dsignation expresse par des dispositions lgislatives ou rglementaires relatives ce traitement (Art. 3 loi I&L).

    T